如果这个季度你只有三十分钟可用于 WordPress 安全，那就把它花在一次插件审计上。WordPress 的大多数沦陷都由插件造成，而大多数网站的绝大部分风险，都集中在少数几个已过时、已被弃用、或干脆不再需要的已装插件上。一次聚焦的审计能把这三类一网打尽。
本文将带你走一遍我们为每一个接手的网站执行的审计流程，以及我们用来判定哪些插件保留、哪些替换、哪些移除的标准。
第 1 步：导出插件清单
首先，把完整的插件清单以可供审阅的形式摆在面前。打开 WordPress 后台的”插件”。记下每一项，启用的和停用的都要记。停用的插件依然躺在磁盘上，依然可能被利用——它们的文件可从公开网络访问到。一次审计两者都要覆盖。
对每个插件，记录名称、已装版本、可用版本、作者，以及最后更新日期。许多网站有 15 到 30 个插件。把它写下来。
第 2 步：检查最后更新日期
对每个插件，在 WordPress.org 仓库或供应商网站上找到它的页面。看最后更新日期。最近三个月内的，没问题。三到十二个月之间的，值得留意，但大概可以接受。超过一年的，是一个强烈的警告。超过两年的，应当视为已被弃用。
被弃用的插件之所以危险，是因为自最后一次更新以来公开的任何漏洞都永远不会再被修补。WordPress.org 如今会标记长期未更新的插件，但读懂这条警告并采取行动的责任，仍在你身上。
第 3 步：检查活跃安装量
安装量低的插件，在两个方面更危险。它们往往经受的实战检验更少，因此缺陷可能尚未被发现。而且开发者维护它们的商业动力更弱，因此更新可能很慢。在其他条件相同的情况下，一个有一百次活跃安装的插件，远比一个有十万次安装的更危险。
这并不是一条硬性规则。一些小众插件相当出色。但安装量低、加上最后更新日期久远，这个组合本应让你心生警觉。
第 4 步：排查已知漏洞
有几个免费数据库会公布 WordPress 插件漏洞。WPScan 数据库和 Patchstack 数据库是用得最广的两个。逐一搜索每个插件的名称。如果列出了任何针对你正在运行版本的漏洞，请将其视为紧急事项。
Wordfence Premium 和 Solid Security 也包含漏洞监控，会在已知问题影响到你已装插件时自动向你告警。如果你运营的是一个正经网站，这类监控之一值得订阅。
第 5 步：识别风险偏高的插件类别
某些类别的插件，历来比其他类别有更多漏洞。文件管理器、备份插件、联系表单插件、电商扩展和 SEO 插件，都在安全公告中出现得不成比例地多。这一方面是因为它们安装得最普遍，一方面是因为它们处理最敏感的输入，还有一方面是因为其中一些赋予了管理员危险的权限。
尤其是文件管理器插件，有着远程代码执行漏洞的悠久历史。我们最近审计的一家悉尼代理机构，正是通过一个一年多前装上后被遗忘的文件管理器插件而被攻破的。那一系列插件有多个历史性的严重漏洞。对那个网站而言，影响最大的一项改动，本该是把该插件彻底移除。
如果你并没有在 WordPress 后台主动使用某个文件管理器插件，就把它移除。SFTP 和你主机的控制面板能完成同样的工作，却没有那份攻击面。
第 6 步：追问每个插件是否仍有必要
这是插件审计中最被忽视的一个问题。对每个插件，诚实地问自己：它提供的功能是否仍在使用。有些插件是为两年前就结束的某次活动而装的。有些是为解决某个问题而装的，而那个问题此后已用别的方式解决。有些是由一位早已不再参与的前任开发者装上的。
如果你说不清某个插件在你网站上究竟做什么，就把它移除，看看会有什么变化。一个预演环境能让这件事变得安全。你运行的插件越少，攻击面就越小，未来的每一次更新也就越简单。
第 7 步：整合功能重叠的插件
许多网站同时启用着两个 SEO 插件，或叠了三层缓存，或用两个不同的表单插件分别处理不同的表单。这很少是有意为之。它是在多年间、随着不同的人做出不同选择而累积起来的。
选定一个。把工作迁移到它上面。移除其余的。作为附带效果，网站通常会变得更快。
第 8 步：评分并排定优先级
审计结束时，你对每个插件都应有一个清晰的判断：保留、更新、替换，还是移除。把移除和替换的任务排在常规更新之前。任何存在已知漏洞的，都是紧急事项。
安排好这些工作。每次移除前先备份。事后测试网站。一次聚焦的插件审计，若执行得当，仅需一天，就能大幅降低一个接手而来的 WordPress 网站的风险水平。
你应该多久重新审计一次？
至少每年一次。对电商网站或处理敏感数据的网站，每六个月一次。在任何一次更换开发者或代理机构之后也要做，因为新团队会有不同的判断，可能会发现前一个团队漏掉的东西。
需要帮忙吗？
如果你希望 Defyn 为你的 WordPress 网站执行一次插件审计、出具一份写明我们建议的书面报告，并完成清理，请与我们联系。这是我们所做的影响力最高的工作之一。
